GitHub App インストールトークンの新形式導入に関するお知らせ

2026年4月27日より、今後数週間にわたって段階的ロールアウト（staged rollout）を開始し、新たに発行されるGitHub Appインストールトークンの形式を更新します。これによりパフォーマンスが向上し、APIサーフェス（API surface）の信頼性も高まります。もしアプリケーションがインストールトークンの長さが正確に40文字であることを前提としている場合、この新しいトークン形式を正しく処理できない可能性があります。 What is changing? 現在、GitHub Appインストールトークンのために新しいステートレス（stateless）トークン形式をサポートしており、これにより負荷増加時のトークン発行パフォーマンスが向上し、大規模なスケールでのより高い信頼性の提供が可能になります。 新たに発行されるGitHub Appインストールトークンは、以下の更新された形式を使用します。 トークンの全体的な長さはより長くなり（約520文字）、内部に格納されるデータに応じて変動します。 インストールトークン（ghs_ トークン）の形式は、ghs_APPID_JWT に変更されます。 注：GitHubのトークンタイプのプレフィックスは変更されず、インストールトークンは引き続き ghs_ で始まる点にご注意ください。 このJWT（JSON Web Token）はGitHub内部の発行者によって署名されており、クライアントアプリケーションで検証することはできませんし、行うべきでもありません。これにはターゲットのインストール先やアプリケーション、基本的な検証情報などのトークンに関する詳細が含まれています。すべてのアクセストークン（access token）と同様、クライアントアプリケーションはこのJWTの内容に依存してはいけません。 Scope 既存のAppインストールトークンは、有効期限が切れるまで引き続き動作します。 この変更は、GitHub Enterprise Cloud および Data Residency 環境に適用されます。GitHub Enterprise Server はこの変更の影響を受けません。 今後のロールアウトでは、Actions の `GITHUB_TOKEN` を含む GitHub App インストール サーバー間トークン（server-to-server tokens）のみに対して、新しいトークン形式が適用されます。 現時点では対象外ですが、Copilot のコードレビューフロー（code review flows）で使用されるユーザーからサーバーへのトークン（user-to-server tokens）に関する形式変更の詳細については、今後数週間で共有いたします。 今後数週間で予想されること 今後数週間で、GitHub App インストールトークンの形式変更に関する段階的なロールアウト（staged rollout）を実施いたします。 4月27日～5月中旬（2026年）：更新された形式の段階的なロールアウトを、GitHub Actions が発行する `GITHUB_TOKEN` およびその他の公式ファーストパーティ統合（例：Dependabot、Slack、Teams）に発行される GitHub App インストールトークンに対して開始いたします。既存の Actions ワークフロー（Actions workflows）には影響しないはずです。この変更が Actions ワークフローに影響を与えており、一時的に変更をオプトアウト（opt-out）したい場合は、GitHub サポートまでお問い合わせください。 2026年5月中旬から6月下旬にかけて：更新された形式をすべてのGitHub Appインストールトークンに対して段階的な展開（staged rollout）を開始します。今後数週間で、この変更をより広く展開する前に、これらの新しいトークンをローカルでテストしてGitHub Appが期待どおりに動作し続けることを検証する方法に関するさらなるガイダンスを提供します。トークンの形式に関する前提条件にまだ依存している統合を特定するためのブラウンアウト期間（brownout period）を導入し、その後で更新された形式の広範な有効化を行います。 この変更への準備方法 トークンを透過性のない文字列（opaque string）として扱い、ハードコードされたパターンに対して検証しないことを推奨します。 この変更への準備を支援するために、以下の事項を確認してください： アプリケーションがアクセストークン（access token）の特定の長さに依存していないこと。 コードベース内にトークンを検証する正規表現（regex）が `ghs_[A-Za-z0-9]{36}` のように存在しないこと。これらは新しいトークンと一致しない可能性があります。 アクセストークン用のデータベースカラムが、少なくとも520文字の文字列を格納できるサイズであること。 GitHubコミュニティ内のディスカッションに参加してください。 「GitHub Appインストールトークンの今後の新形式に関するお知らせ」の記事は、The GitHub Blog で最初に公開されました。

GitHub App インストールトークンの新形式導入に関するお知らせ

背景や根拠まで確認しますか？

このニュースを、実務の判断につなげる

調べる

選ぶ

サイト

背景や根拠まで確認しますか？

このニュースを、実務の判断につなげる

ニュースの次に確認する

調べる

選ぶ

サイト